A quanto mi risulta, questo non è più in linea con il comportamento responsabile del "cappello bianco". Ho ragione in questa affermazione?

Cappello bianco (e grigio / nero) sono termini vaghi. Non esiste una definizione universale fissa. Dalle definizioni di wikipedia la maggior parte dei ricercatori sarebbe vista come Gray Hat, visto che non è raro pubblicare se l'editore del software si rifiuta di applicare la patch.

La risposta facile alla tua domanda è no. Se il tuo obiettivo è rendere il mondo più sicuro, questo chiaramente non si allinea direttamente. C'è un argomento indiretto: incoraggiando la ricompensa finanziaria si incoraggia una relazione più sana tra imprese e ricercatori, oltre a incoraggiare più persone a entrare nel campo.

Perché me lo chiedi? Il ricercatore non è in alcun modo obbligato a rivelarti. A meno che tu non possa dimostrare che ha infranto la legge trovando le vulnerabilità a cui non hai la forza di costringerlo. Finora avete ricevuto parecchie ore di lavoro da un individuo altamente qualificato (si spera - altrimenti ciò vi getta in cattiva luce) completamente gratis. O ritieni che valga la pena pagarlo per continuare a offrire servizi o non lo fai.

* Vedendo il titolo, direi che questo non è un comportamento di Black Hat a meno che non sfrutti deliberatamente le vulnerabilità per il proprio guadagno o il tuo proprio danno (/ li dà direttamente a qualcuno con quell'intenzione). Se si rifiuta di rivelare l'argomento sarebbe tra le definizioni di cappello bianco / grigio.

Il ricercatore non ha creato la vulnerabilità e non ha minacciato di rilasciare o sfruttare ciò che ha trovato. Se non desideri pagare per il suo lavoro, non farlo e la tua azienda non sta peggio di prima che ti contattasse. In effetti ti ha fatto il dono di dirti che esiste una vulnerabilità che puoi trovare da solo o tramite un altro appaltatore.

Quindi no, non ha fatto nulla di non etico.

Sono un cacciatore di bug e non ho idea del motivo per cui tutti qui pensano che vada benissimo da parte sua attaccare il tuo sito web senza permesso, determinare lui stesso una taglia e minacciare di trattenere difetti potenzialmente pericolosi perché non ottiene i soldi che vuole. Perché non ha chiesto in anticipo della tua politica? Non hai mai affermato di eseguire un programma di bug bounty o di essere in grado di pagare qualcuno per qualsiasi cosa in primo luogo.

Per chiarire di nuovo, OP non si è iscritta al progetto Open Bug Bounty. Il progetto si propone di fungere da intermediario tra ricercatori e siti web che non eseguono un programma di taglie. Inoltre, menzionano esplicitamente che non sei obbligato a pagare nulla e il ricercatore dovrebbe esserne ben consapevole se legge le linee guida.

Il proprietario di un sito web può esprimere una gratitudine al ricercatore in un modo che ritiene più appropriato e proporzionato agli sforzi e all'aiuto del ricercatore. Incoraggiamo i proprietari di siti web a dire almeno un "grazie" al ricercatore o a scrivere una raccomandazione nel profilo del ricercatore. Tuttavia, non vi è assolutamente alcun obbligo o obbligo di esprimere gratitudine.

(Sottolinea il mio)

Se si aspetta un ricompensa, dovrebbe cercare bug presso aziende che gestiscono effettivamente un programma di taglie. Esistono molti programmi affidabili che pagano ricompense elevate.

Il ricercatore ha quindi inviato un'e-mail di follow-up dicendo che ha trovato più vulnerabilità, ma poiché non abbiamo fatto una donazione, le manterrà vulnerabilità per se stesso.

Se li ha già trovati e non è molto difficile metterli in un elenco e farti sapere, allora sì, trovo non etico trattenere i bug. ¹ Non l'hai chiesto lui a lavorare per te. Avrebbe potuto chiederti se paghi per i bug in anticipo. E non ti ha offerto molto la sua esperienza per una donazione: dalla tua descrizione sembra più una lieve minaccia che se non lo paghi, il tuo sito web è in pericolo.

Prendi quell'incidente come suggerimento che devi investire di più nella tua sicurezza. Considera l'idea di creare un vero programma di bug bounty con piccoli premi o di assumere un penetration tester professionista. Ma non lasciarti estorcere denaro da te se non glielo hai mai promesso.

¹ Non è che dovrebbe fare un lavoro gratuito per te. È il fatto che menziona che c'è qualcosa che non ti dirà a meno che tu non gli paghi un importo particolare che lo rende immorale, soprattutto se uno sfruttamento di questi bug potrebbe minacciare il futuro della tua azienda.

Non ha bisogno di rivelare- ma sapeva che arrivando al secondo round non paghi. Allora qual è la sua motivazione? Non puoi saperlo, quindi sta usando quel divario per farti pressione sul pagamento.

Tuttavia, poiché non ha minacciato di rilasciare malware o di vendere a cappelli neri, è potenzialmente legalmente chiaro e forse anche eticamente se non lo fa mai, o se fa semplicemente una discarica aperta dell'exploit senza venderlo ai cappelli neri.

Potrebbe venderlo legalmente a stati-nazione e società di sicurezza, ma non conoscendone l'importanza del tuo codice, è impossibile dire se si tratta di un luogo vendibile per il "ricercatore".

Pagare un valore di mercato equo è probabilmente la soluzione migliore. La persona ha trascorso del tempo a fare ricerche e le informazioni hanno valore per te. Anche se lo rilasciano allo scoperto, è in piena regola. Dipende dal danno che ti farebbe una versione senza notifica. Se la risposta non è molto, ignorala. Altrimenti vieni con i soldi. Questo è puramente utilitaristico BTW - non parla veramente dell'etica. Eticamente avrebbe dovuto abbandonare la ricerca della tua app / sito se sapeva che non eri interessato a pagare, a meno che non ci siano dati pubblici che ritiene tu stia mettendo a rischio.

Anche se non è obbligatorio per legge, molti pensano che non risarcire qualcuno per il proprio lavoro non sia etico. Questo è indipendente dagli strumenti che questa persona ha utilizzato per il proprio lavoro o dal tono usato per comunicare, soprattutto perché un tono nella comunicazione scritta può essere facilmente interpretato male.

Questa persona ti ha regalato un campione del suo lavoro, poi ha scherzato tu per avere di più. Questa è una pratica commerciale comune e in nessun modo un comportamento dannoso.

Quindi, dalle informazioni fornite nella domanda, il ricercatore potrebbe anche agire in buona fede, senza intenti dannosi. Il PO potrebbe essere parziale nella rappresentazione dei fatti fatti e potrebbe cercare di inquadrare il ricercatore come un cappello nero per legittimare il proprio punto di vista. Questa è solo una supposizione e il PO potrebbe essere in buona fede e il ricercatore potrebbe aver effettivamente minacciato il PO, ma non è chiaro.